Politique de confidentialité VisitLead
La présente version française est fournie à titre d'information. En cas de divergence, la version anglaise fait foi.
Version du 13 novembre 2026.
1. Qui sommes-nous
Quantum Liquid LLC, société de droit du Wyoming, 30 N Gould St, Ste R, Sheridan, WY 82801, États-Unis d'Amérique, exploite le service VisitLead (« VisitLead » ou « le Service »). Contact pour toute question sur les données personnelles : hello@visitlead.io.
VisitLead aide une entreprise (le « Client ») à savoir quelles entreprises visitent son site internet, et à être prévenue quand un contact qu'elle connaît déjà revient sur son site. VisitLead n'identifie jamais une personne inconnue, n'achète pas de données de personnes et ne revend aucune donnée.
La présente politique s'applique au regard de la loi fédérale suisse sur la protection des données (nLPD), du Règlement général sur la protection des données (RGPD) pour les personnes situées dans l'Union européenne, l'EEE ou au Royaume-Uni (UK GDPR), et des lois des États américains sur la vie privée, en particulier le California Consumer Privacy Act tel que modifié par le CPRA (CCPA).
2. Deux rôles différents
VisitLead traite des données dans deux rôles, et cette politique les distingue partout :
| Données | Rôle de Quantum Liquid LLC | Qui décide |
|---|---|---|
| Comptes des Clients : personnes qui se connectent à VisitLead, abonnements, réglages, courriels du Service | Responsable du traitement | Quantum Liquid LLC |
| Liste de refus globale de la page /optout | Responsable du traitement | Quantum Liquid LLC |
| Visites du site d'un Client : pages vues, entreprise reconnue par le réseau, contacts connus du Client et leurs retours | Sous-traitant (« service provider » au sens du CCPA) | Le Client, responsable du traitement |
Pour les visiteurs du site d'un Client, le Client est responsable du traitement : c'est lui qui pose le tag VisitLead, choisit ses réglages et informe ses visiteurs dans sa propre déclaration de protection des données. VisitLead agit sur ses instructions, selon le contrat de sous-traitance (DPA) accessible sur visitlead.io. Une personne qui visite le site d'un Client peut s'adresser au Client ou à VisitLead, qui transmettra sa demande au Client.
3. Données des Clients (VisitLead responsable du traitement)
3.1 Compte
VisitLead ne gère pas de mot de passe. La connexion passe par le Compte Lead (ERPlead), service d'identité commun aux applications Lead (erplead.io). VisitLead conserve l'identifiant du Compte Lead, l'adresse électronique, le nom, la langue, l'organisation, le rôle, la formule et les droits associés, et les sessions ouvertes.
3.2 Abonnement
Pour un abonnement Pro ou Pro+ pris dans VisitLead, VisitLead conserve la référence du client et de l'abonnement chez Stripe, la formule, son statut et ses dates ; les données de carte restent chez Stripe. Une formule offerte parce que l'organisation a un abonnement payant dans une autre application Lead est lue au Compte Lead (formule, application d'origine, date de fin) : aucune donnée de paiement n'est échangée.
3.3 Réglages et intégrations
Les sites déclarés (nom, domaine), les pages importantes, les réglages d'alerte, l'adresse du webhook Slack ou du webhook générique et son secret, et les empreintes des adresses IP de l'équipe que le Client choisit d'exclure (jamais les adresses elles-mêmes).
3.4 Courriels du Service
Le digest du lundi, les alertes et les courriels de compte sont envoyés par Resend. VisitLead garde un journal des envois (empreinte de l'adresse, sujet, date, statut) au plus 400 jours, pour plafonner les envois et respecter un refus ou un rebond.
3.5 Site visitlead.io
Le site visitlead.io n'utilise ni mesure d'audience tierce ni cookie publicitaire. Pour limiter les abus, une empreinte (HMAC) de l'identifiant de réseau est gardée deux heures au plus ; l'adresse IP elle-même n'est jamais enregistrée.
4. Données des visiteurs des sites des Clients (VisitLead sous-traitant)
4.1 Ce qui est mesuré
Quand une personne visite un site qui porte le tag VisitLead, le tag envoie : l'adresse de la page (sans ses paramètres, sauf les paramètres utm_*), son titre, le site d'où vient la personne (son nom de domaine seulement), la taille de l'écran, la langue du navigateur et l'état du consentement détecté.
L'adresse IP de la connexion sert, en mémoire seulement et pendant la requête, à trouver le réseau d'où vient la visite. Elle est transmise pour cela aux registres Internet publics. Pour la Suisse, le registre du commerce est ensuite consulté avec le seul nom de l'organisation. Si ce réseau appartient à une entreprise, une école ou une administration, la visite est rattachée à cette organisation. Si c'est un fournisseur d'accès à internet, un opérateur mobile ou un hébergeur, la visite reste « non identifiée ». L'adresse IP n'est jamais écrite en base de données ni dans un journal.
Pour regrouper les pages d'une même visite sans cookie, VisitLead calcule une empreinte du jour : un hachage du site, de l'adresse IP et du navigateur avec un secret qui change chaque jour et qui est effacé au plus tard après 48 heures. Deux jours différents ne peuvent pas être reliés.
4.2 Contacts connus du Client
Un « contact connu » est une personne que le Client connaît déjà : elle a cliqué sur un lien d'une newsletter du Client qui porte un jeton VisitLead, elle a rempli un formulaire du site du Client, ou le Client l'a importée (fichier CSV, ScanLead, saisie). Pour un contact connu, VisitLead conserve son adresse électronique, son nom, son entreprise et son poste tels que le Client les a fournis, une empreinte de l'adresse (HMAC), un jeton aléatoire pour les liens, et ses visites.
Quand le tag lit le formulaire d'un site, il ne transmet que l'adresse électronique et les champs de nom et d'entreprise, jamais les autres champs ni un mot de passe, et seulement si la règle du pays du visiteur le permet (§ 4.3).
4.3 Règles selon le pays du visiteur
| Zone du visiteur | Entreprise reconnue par le réseau | Reconnaissance d'un contact connu (cookie _vl) |
|---|---|---|
| Union européenne, EEE, Royaume-Uni | Oui, IP jamais gardée | Seulement après consentement |
| Suisse | Oui, IP jamais gardée | Information et refus possible, ou consentement selon le réglage du Client |
| États-Unis | Oui, IP jamais gardée | Oui, sauf signal Global Privacy Control, Do Not Track ou refus |
| Autres pays | Oui, IP jamais gardée | Comme l'Union européenne |
Dans tous les pays, un signal Global Privacy Control ou Do Not Track du navigateur empêche tout cookie et toute lecture de formulaire. Un refus posé par le lien « #visitlead-optout » du site du Client empêche tout envoi.
4.4 Ce que VisitLead ne fait jamais
- Identifier une personne inconnue, par son adresse IP, son navigateur ou une base de données achetée.
- Garder l'adresse IP d'un visiteur.
- Suivre une personne d'un site Client à un autre : les données de chaque Client restent dans son espace.
- Vendre ou partager des données de visiteurs, au sens du CCPA, ni les utiliser pour de la publicité.
Les informations sur les réseaux d'entreprises (nom de l'organisation, domaine, pays, ville) sont gardées dans un cache commun 90 jours : ce sont des données d'organisations tirées de registres publics, jamais des données de personnes.
5. Finalités et bases juridiques
| Finalité | Base juridique |
|---|---|
| Fournir le Service aux Clients, encaisser les abonnements | Exécution du contrat (RGPD art. 6.1.b) |
| Courriels du Service (digest, alertes, compte) | Exécution du contrat (art. 6.1.b) |
| Limiter les abus, sécurité | Intérêt légitime (art. 6.1.f) |
| Liste de refus globale (/optout) | Obligation légale de respecter une opposition (art. 21 RGPD, art. 30 nLPD) et intérêt légitime (art. 6.1.f) |
| Mesure des visites pour un Client | Sous-traitance pour le Client (art. 28 RGPD, art. 9 nLPD) ; le Client choisit sa base : intérêt légitime pour l'entreprise reconnue sans cookie, consentement pour le cookie là où il est exigé |
6. Durées de conservation
- Visites, pages vues, alertes et cookies _vl : 12 mois au plus, puis suppression automatique (tâche quotidienne). En formule Gratuite, seuls les 30 derniers jours sont montrés au Client.
- Empreinte du jour : son secret est effacé au plus tard après 48 heures.
- Cache des réseaux d'entreprises : 90 jours, puis relu.
- Contacts connus : tant que le Client les garde, et au plus tard jusqu'à la suppression de son espace. Un contact qui refuse est marqué et n'est plus reconnu.
- Liste de refus globale : une empreinte de l'adresse (HMAC), tant que le refus vaut, sans l'adresse elle-même.
- Données du compte : pendant l'utilisation du Service ; supprimées 30 jours après la fin de tout accès, ou plus tôt sur demande.
- Journal d'envoi des courriels : 400 jours au plus. Sessions : 12 heures.
7. Sous-traitants
| Sous-traitant | Rôle | Lieu |
|---|---|---|
| Vercel Inc. | Hébergement de l'application et du tag | Région de Francfort (Allemagne) |
| Neon (Databricks, Inc.) | Base de données | AWS eu-central-1 (Francfort) |
| Resend | Courriels du Service | Union européenne et États-Unis |
| Stripe Payments Europe | Paiements des abonnements | Irlande et États-Unis |
| Registres Internet publics et registre du commerce suisse | Identification du réseau et de l'organisation d'une visite | Selon le registre |
| Anthropic | Assistant IA | États-Unis |
| Slack, ou l'outil choisi par le Client | Signaux envoyés à l'adresse indiquée par le Client | Selon l'outil |
8. Transferts à l'étranger
Les données sont hébergées à Francfort (Union européenne). Quantum Liquid LLC est établie aux États-Unis, et certains sous-traitants peuvent traiter des données hors de Suisse et de l'UE/EEE. Ces transferts reposent sur les garanties prévues par la nLPD et le RGPD, en particulier les clauses contractuelles types de la Commission européenne, avec l'avenant suisse, et le Data Privacy Framework lorsque le destinataire y est certifié.
9. Vos droits
Toute personne peut demander l'accès à ses données, leur rectification, leur effacement, la limitation du traitement et leur portabilité, et s'opposer à un traitement fondé sur l'intérêt légitime. Les résidents de Californie ont aussi le droit de savoir quelles données sont traitées, de les faire supprimer ou corriger, et de ne pas être discriminés pour avoir exercé ces droits ; VisitLead ne vend ni ne partage de données personnelles.
- Ne plus être reconnu par aucun Client VisitLead : page https://visitlead.io/fr/optout. Après confirmation par courriel, votre adresse est marquée comme refusée chez tous les Clients et refusée dans tout import futur.
- Ne plus être mesuré sur un site : lien « #visitlead-optout » du site concerné, réglage Global Privacy Control de votre navigateur, ou refus dans le bandeau de consentement du site.
- Autres demandes : hello@visitlead.io. Pour les visites d'un site, nous transmettons la demande au Client concerné et l'aidons à y répondre.
Une réclamation peut être adressée au Préposé fédéral à la protection des données et à la transparence (PFPDT, www.edoeb.admin.ch), à l'autorité de contrôle du lieu de résidence dans l'Union européenne, ou à la California Privacy Protection Agency.
10. Cookies
Sur visitlead.io, seuls des cookies nécessaires sont utilisés (session, langue, devise, connexion au Compte Lead). Le cookie _vl déposé par le tag sur les sites des Clients est décrit dans la politique cookies du tag.
11. Sécurité
Chiffrement en transit (TLS), base de données chiffrée au repos, accès limité aux personnes qui en ont besoin, secrets séparés par usage, empreintes à clé (HMAC) au lieu des valeurs quand c'est possible. Une violation de données qui touche les données d'un Client lui est notifiée sans retard injustifié.
12. Modifications
Toute modification substantielle est annoncée sur le site et, pour les Clients, par courriel ou dans l'application avant son entrée en vigueur.